Kan een robot met fysieke kunstmatige intelligentie veilig blijven wanneer een aanvaller wijzigt wat hij waarneemt, beslist of doet, zonder dat er een zichtbare storing optreedt? Deze vraag vormt de rode draad van een artikel gepubliceerd door IEEE Spectrum als gesponsorde inhoud van het bedrijf VicOne. De tekst inventariseert de risico’s op drie niveaus, van het trainen van modellen tot hun realtime werking.
- Een robot met fysieke AI kan gevaarlijk gedrag vertonen zonder zichtbare storing.
- Aanvallers kunnen verborgen triggers in AI-modellen inbouwen, zoals een achterdeur.
- Zwakke middleware en draadloze kwetsbaarheden kunnen de besturing van robots overnemen.
- Manipulatie van camerabeelden maakt validatie, simulatie en continue monitoring noodzakelijk.
Fysieke kunstmatige intelligentie verwijst naar machines die hun omgeving waarnemen via multimodale sensoren, de situatie interpreteren met behulp van AI-modellen en deze interpretaties vertalen in acties. Hun veiligheid hangt dus af van de integriteit van de gegevens die hun beslissingen sturen. Volgens het artikel hebben recente onderzoekswerken aangetoond dat manipuleren wat een robot ziet, hoort of interpreteert, zijn gedrag kan beïnvloeden zonder directe controle.
Het model bij de bron corrumperen
Het werk genaamd BadNets, gepubliceerd in 2017, toonde aan dat een model normaal kon functioneren in de meeste gevallen, maar kon falen in aanwezigheid van een verborgen trigger. In een aangehaald voorbeeld zorgde een discreet patroon ervoor dat een stopbord werd geclassificeerd als een snelheidsbeperkingsbord, zonder het gedrag van het model op andere invoeren te wijzigen.
Tijdens de conferentie NeurIPS 2025 presenteerden onderzoekers BadVLA, een ‘achterdeur’-aanval (backdoor) gericht op Vision-Language-Action-modellen, of VLA’s, die een robot in staat stellen te zien, instructies te interpreteren en gecoördineerde bewegingen te produceren. In plaats van een enkel label te wijzigen, veroorzaakte de aanval conditionele afwijkingen in de baan van de robot wanneer de trigger aanwezig was. Zonder deze behield het model grotendeels zijn prestaties, en de achterdeur bleef effectief na een taakoverdracht of een verfijning (fine-tuning) van het model.
Een studie uit 2025, genaamd GoBA, toonde aan dat een gewoon object, zoals een koffiekopje, als betrouwbare trigger kon dienen. De onderzoekers melden een aanvalssuccesratio van 97%, zonder prestatievermindering op niet-gemanipuleerde invoeren. Deze werken belichten een blinde vlek in de validatie van modellen: een model kan zijn tests doorstaan en toch corrupt gedrag produceren wanneer een verborgen trigger in een reële situatie verschijnt.
Het artikel presenteert het tool Radeis, een beveiligingsvalidator voor fysieke AI bedoeld voor de NVIDIA Isaac Sim simulatieomgeving. Volgens VicOne maakt het mogelijk om vóór implementatie het effect van gemanipuleerde visuele invoeren op het gedrag van de robot te testen.
Kwetsbaarheden in het systeem
Zelfs een veilig getraind model kan worden misbruikt als het systeem eromheen kwetsbaar is. In september 2025 onthulden onderzoekers UniPwn, een Bluetooth-exploitatieketen die viervoetige en humanoïde robots van een grote fabrikant treft. Volgens de beschrijving van de kwetsbaarheid zou deze ‘wormable’ zijn, dat wil zeggen in staat zich te verspreiden, waarbij een gecompromitteerde robot nabijgelegen apparaten kan analyseren en een hele vloot kan aantasten. Volgens een demonstratie van VicOne LAB R7 kan het aaneenschakelen van drie draadloze kwetsbaarheden binnen 60 seconden ongecontroleerd robotgedrag veroorzaken.
Middleware, softwarelagen die de componenten van een robot verbinden, vormen een andere toegangspoort. Volgens het artikel kunnen kwetsbaarheden in ROS 2 en in systemen gebaseerd op DDS de uitvoering van willekeurige code of het verzenden van kwaadaardige commando’s mogelijk maken. Een aanvaller met voldoende toegang zou motoropdrachten kunnen wijzigen of de gewichten van het model, dat wil zeggen zijn geleerde parameters, kunnen vervangen zonder zijn architectuur direct aan te vallen. De componenten kunnen dan blijven functioneren zoals bedoeld, maar de betrouwbaarheid van de commando’s die door het systeem circuleren is niet langer gegarandeerd.
Waarneming in realtime manipuleren
Tijdens uitvoering kan het manipuleren van de invoeren die de waarneming of redenering vormen, noch een wijziging van de firmware noch een inbraak in het netwerk vereisen. In 2024 toonde RoboPAIR aan dat zorgvuldig gestructureerde verzoeken robots aangestuurd door een groot taalmodel (LLM) naar gevaarlijke banen konden omleiden. Volgens de werken van BadRobot weigerde een robot in verschillende gevallen mondeling een gevaarlijk commando, maar voerde zijn bewegingscontroller het desondanks uit.
Visuele manipulatie is niet minder effectief. VLAttack toonde aan dat een adversarial patch in het camerabeeld het slagingspercentage van een VLA-model tot nul kon reduceren. FreezeVLA toonde aan dat een enkele adversarial afbeelding de beslissingslus van een robot kon bevriezen, die niet meer reageerde op volgende instructies. In deze gevallen kan de camera functioneren, het model draaien en de controller reageren, terwijl het gedrag gevaarlijk blijft. Volgens het artikel vormt cybersecurity de laag die ontbreekt bij de beveiliging van robots, omdat deze de functionele veiligheid aanvult, die zich bezighoudt met storingen en onverwachte bedrijfsomstandigheden. De aanpak van VicOne, beschreven in het artikel, combineert de analyse van modellen en kwetsbaarheden, validatie via simulatie en continue monitoring.
